通过PowerShell限制Office 365共享邮箱权限

需求说明 #

• 允许用户：读取邮件、以共享邮箱身份发送邮件（Send As）、使用邮箱分类/标签
• 禁止用户：移动或删除邮件

初始整理的PowerShell命令 #

# 设置SendAs权限
Add-RecipientPermission <SharedMailbox> -AccessRights SendAs -Trustee <User>

# 设置文件夹可见性与读取权限（Reviewer权限包含FolderVisible、ReadItems）
Add-MailboxFolderPermission -Identity <SharedMailbox> -User <User> -AccessRights Reviewer

注：若已存在对应权限条目，需使用Set-*系列命令替代Add-*命令

权限配置疑问与验证 #

之前对以下命令的正确性存在疑问，核心需求是移除移动/删除权限同时保留标签使用权限：

# 不确定必要性的命令
Add-MailboxFolderPermission -Identity <SharedMailbox> -User <User> -AccessRights CreateItems

# 允许标记操作
Add-MailboxFolderPermission -Identity <SharedMailbox> -User <User> -AccessRights EditAllItems

# 移除删除权限
Remove-MailboxPermission -Identity <SharedMailbox> -User <User> -AccessRights DeleteItem

由于Office 365权限刷新最长需2小时，试错成本较高，经验证后得到以下可行方案。

最终验证通过的命令 #

以下命令已验证满足全部需求，其中$order为共享邮箱标识，$user为目标用户标识：

# 授予邮箱读取权限
Add-MailboxPermission -Identity $order -User $user -AccessRights ReadPermission

# 配置根文件夹权限
Add-MailboxFolderPermission -Identity $order -User $user -AccessRights ReadItems, FolderVisible, CreateItems,EditAllItems

# 配置收件箱权限
Add-MailboxFolderPermission -Identity ${order}:\Inbox -User $user -AccessRights ReadItems, FolderVisible, CreateItems,EditAllItems

# 配置日历权限
Add-MailboxFolderPermission -Identity ${order}:\Calendar -User $user -AccessRights ReadItems, FolderVisible, CreateItems,EditAllItems

# 配置SendAs权限
Add-RecipientPermission -Identity $order -Trustee $user -AccessRights SendAs

关键注意事项 #

配置日历权限是让用户使用邮箱自身标签而非个人标签的必要条件。

内容的提问来源于stack exchange，提问作者user2898518